Varsayılan olarak, kaynakların her tür önbellek tarafından önbelleğe alınmasına her zaman izin verilir. kullanmamak veya kötüye kullanmamak Cache-Control başlığı, web sitenizin güvenliğini ve kullanıcılarınızın gizliliğini olumsuz etkileyebilir.
Gizli tutmak istediğiniz kişiselleştirilmiş yanıtlar için aşağıdakilerden birini yapmanızı öneririz:
- Aracıların kaynağı önbelleğe almasını önleyin. Ayarlamak
Cache-Control: private. - uygun bir ayarla ikincil önbellek anahtarı. Çerezler nedeniyle yanıt değişirse (ki bu, çerez kimlik bilgilerini sakladığında gerçekleşebilir)
Vary: Cookie.
Bunun neden önemli olduğunu öğrenmek ve keşfetmek için okumaya devam edin:
- Farkında olmayabileceğiniz güvenlik ve gizlilik sorunları
- Farklı HTTP önbellek türleri ve yaygın yanlış anlamalar
- Yüksek değerli web siteleri için önerilen işlemler
Spectre güvenlik açıklarından sızdıran kaynaklar #
bu Spectre güvenlik açığı bir sayfanın bir işletim sistemi işleminin belleğini okumasına izin verir. Bu, bir saldırganın kaynaklar arası verilere yetkisiz erişim elde edebileceği anlamına gelir. Sonuç olarak, modern web tarayıcıları, bazı özelliklerinin kullanımını kısıtlamıştır; SharedArrayBuffer veya yüksek çözünürlüklü zamanlayıcı— kaynaklar arası izolasyona sahip sayfalara.
Modern web tarayıcıları zorlar Kaynaklar Arası Yerleştirme Politikası (COEP). Bu, kaynaklar arası kaynakların şunlardan biri olmasını sağlar:
- Çerezler olmadan talep edilen genel kaynaklar
- Kaynaklar arasında, CORS veya ŞİRKET başlık
COEP kurulumu, bir saldırganın Spectre’den yararlanmasını engellemez. Ancak, kaynaklar arası kaynakların saldırgan için değerli olmamasını (tarayıcı tarafından genel kaynak olarak yüklendiğinde) veya saldırganla paylaşılmasına izin verilmemesini (paylaşıldığında) sağlar. CORP: cross-origin).
HTTP önbelleğe alma Spectre’ı nasıl etkiler? #
Eğer Cache-Control başlık düzgün ayarlanmamışsa, bir saldırgan saldırı gerçekleştirebilir. Örneğin:
- Kimlik bilgisi verilen kaynak önbelleğe alınır.
- Saldırgan, kaynaklar arası yalıtılmış bir sayfa yükler.
- Saldırgan kaynağı yeniden ister.
COEP:credentiallesstarayıcı tarafından ayarlanır, böylece kaynak çerezler olmadan alınır. Ancak, bir önbellek bunun yerine kimlik bilgileri verilen yanıtı döndürebilir.- Saldırgan daha sonra bir Spectre saldırısı kullanarak kişiselleştirilmiş kaynağı okuyabilir.
Bir web tarayıcısının HTTP önbelleği pratikte bu tür bir saldırının gerçekleşmesine izin vermese de, tarayıcının doğrudan kontrolü dışında ek önbellekler mevcuttur. Bu, bu saldırının başarısına yol açabilir.
HTTP önbellekleriyle ilgili yaygın yanılgılar #
1. Kaynaklar yalnızca tarayıcı tarafından önbelleğe alınır #
Genellikle birden çok önbellek katmanı vardır. Bazı önbellekler tek bir kullanıcıya, bazıları ise birden çok kullanıcıya ayrılmıştır. Bazıları sunucu tarafından, bazıları kullanıcı tarafından ve bazıları aracılar tarafından kontrol edilir.
- tarayıcı önbellekleri. Bu önbellekler, web tarayıcılarında uygulanan tek bir kullanıcıya aittir ve ona tahsis edilmiştir. Aynı yanıtı birden çok kez almaktan kaçınarak performansı artırırlar.
- Yerel proxy. Bu, kullanıcı tarafından yüklenmiş olabilir, ancak aracılar tarafından da yönetilebilir: şirketleri, kuruluşları veya internet sağlayıcıları. Yerel proxy’ler genellikle birden çok kullanıcı için tek bir yanıtı önbelleğe alır ve bu da “genel” bir önbellek oluşturur. Yerel proxy’lerin birden fazla rolü vardır.
- Kaynak sunucu önbelleği / CDN. Bu, sunucu tarafından kontrol edilir. Origin sunucusu önbelleğinin amacı, birden fazla kullanıcı için aynı yanıtı önbelleğe alarak kaynak sunucu üzerindeki yükü azaltmaktır. Bir CDN’nin hedefleri benzerdir, ancak tüm dünyaya yayılmış ve gecikmeyi azaltmak için en yakın kullanıcı grubuna atanmıştır.
2. SSL, aracıların HTTPS kaynaklarını önbelleğe almasını engeller #
Birçok kullanıcı, erişim amaçları (ölçülü bir bağlantıyı paylaşmak gibi), virüs denetimi veya veri kaybını önleme (DLP) amaçları için düzenli olarak yerel olarak yapılandırılmış proxy’ler kullanır. Aracı önbellek çalışıyor TLS müdahalesi.
Bir şirket çalışanının iş istasyonlarına genellikle bir aracı önbellek kurulur. Web tarayıcıları, yerel proxy sertifikalarına güvenecek şekilde yapılandırılır.
Sonuç olarak, bazı HTTPS kaynakları bu yerel proxy’ler tarafından önbelleğe alınabilir.
HTTP önbelleği nasıl çalışır? #
- kaynaklar dolaylı olarak varsayılan olarak önbelleğe alınmasına izin verilir.
- bu birincil önbellek anahtarı URL ve yöntemden oluşur. (URL, yöntem)
- bu ikincil önbellek anahtarı başlıklar dahil mi
Varybaşlık.Vary: Cookieyanıtın şunlara bağlı olduğunu gösterir:Cookie. - bu
Cache-Controlbaşlık daha ince taneli kontrol sağlar.
Web siteniz için önerilen bu işlemleri yapın #
Yüksek trafiğe sahip web siteleri ve kişisel tanımlayıcı bilgilerle etkileşime giren web siteleri dahil olmak üzere yüksek değerli web sitelerinin geliştiricileri, güvenliği artırmak için hemen harekete geçmelidir.
En büyük risk, bir kaynağa erişim tanımlama bilgilerine bağlı olarak değiştiğinde ortaya çıkar. Bir aracı önbellek, herhangi bir önleyici tedbir alınmadığı takdirde verilmeyen bir talep için tanımlama bilgileriyle talep edilen bir yanıtı döndürebilir.
Aşağıdaki adımlardan birini uygulamanızı öneririz:
- Aracıların kaynağı önbelleğe almasını önleyin. Ayarlamak
Cache-Control: private. - uygun bir ayarla ikincil önbellek anahtarı. Çerezler nedeniyle yanıt değişirse (ki bu, çerez kimlik bilgilerini sakladığında gerçekleşebilir)
Vary: Cookie.
Özellikle, varsayılan davranışı değiştirin: her zaman tanımlayın Cache-Control veya Vary.
Ek hususlar #
HTTP önbelleğini kullanan benzer başka saldırı türleri de vardır, ancak bunlar çapraz kaynak izolasyonundan farklı bir mekanizmaya dayanır. Örneğin, Jake Archibald bazı saldırıları anlatıyor. CORS’ta nasıl kazanılır?.
Bu saldırılar, kaynak yanıtının kimlik bilgileriyle istenip istenmediğine bağlı olarak HTTP önbelleğini bölen bazı web tarayıcıları tarafından hafifletilir. 2022 itibariyle, Firefox önbelleği bölerken Chrome ve Safari bölmez. Krom önbelleği bölebilir gelecekte. Bu saldırıların farklı ve tamamlayıcı olduğunu unutmayın. üst düzey orijine göre bölme.
Bu sorun web tarayıcıları için azaltılabilse bile, sorun yerel proxy önbelleklerinde kalacaktır. Bu nedenle, yine de yukarıdaki önerileri uygulamanızı öneririz.
Başlık fotoğrafı: Ben Pattinson Açık Unsplash.